搜索

[11016] 2017-02-11_打印机安全研究（一）：不容乐观的网络打印机安全状况

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-02-11_打印机安全研究（一）：不容乐观的网络打印机安全状况 打 印 机 安 全 研 究 （ 一 ） ： 不 容 乐 观 的 网 络 打 印 机 安 全 状 况 c l o u d s   F r e e B u f   2 0 1 7 - 0 2 - 1 1 打 印 机 是 人 们 在 生 活 和 办 公 中 经 常 使 用 的 电 子 设 备 ， 家 庭 、 办 公 室 、 公 司 、 政 府 单 位 、 医 院 、 学 校 打 印 机 是 人 们 在 生 活 和 办 公 中 经 常 使 用 的 电 子 设 备 ， 家 庭 、 办 公 室 、 公 司 、 政 府 单 位 、 医 院 、 学 校 . . . . . . 几 乎 每 一 个 单 位 和 机 几 乎 每 一 个 单 位 和 机 构 都 会 使 用 打 印 机 。 从 安 全 的 角 度 来 看 ， 由 于 打 印 设 备 部 署 于 内 部 网 络 ， 通 过 它 们 可 以 直 接 访 问 到 机 密 报 告 、 合 同 或 病 历 构 都 会 使 用 打 印 机 。 从 安 全 的 角 度 来 看 ， 由 于 打 印 设 备 部 署 于 内 部 网 络 ， 通 过 它 们 可 以 直 接 访 问 到 机 密 报 告 、 合 同 或 病 历 等 敏 感 信 息 ， 比 较 关 键 。 近 期 ， 来 自 德 国 鲁 尔 大 学 的 安 全 研 究 人 员 对 多 种 品 牌 型 号 的 网 络 打 印 机 开 展 了 一 项 深 入 的 安 全 研 等 敏 感 信 息 ， 比 较 关 键 。 近 期 ， 来 自 德 国 鲁 尔 大 学 的 安 全 研 究 人 员 对 多 种 品 牌 型 号 的 网 络 打 印 机 开 展 了 一 项 深 入 的 安 全 研 究 ， 以 下 为 他 们 对 这 项 研 究 的 相 关 概 述 和 结 果 分 析 。 究 ， 以 下 为 他 们 对 这 项 研 究 的 相 关 概 述 和 结 果 分 析 。 在 这 篇 文 章 中 ， 我 们 总 结 了 基 于 网 络 打 印 机 的 攻 击 场 景 概 述 ， 同 时 展 示 了 攻 击 者 可 以 如 何 入 侵 一 台 存 在 漏 洞 的 打 印 机 。 通 在 这 篇 文 章 中 ， 我 们 总 结 了 基 于 网 络 打 印 机 的 攻 击 场 景 概 述 ， 同 时 展 示 了 攻 击 者 可 以 如 何 入 侵 一 台 存 在 漏 洞 的 打 印 机 。 通 过 对 过 对 2 0 种 不 同 品 牌 型 号 的 打 印 机 进 行 测 试 后 发 现 ， 每 一 种 品 牌 的 打 印 机 都 存 在 不 同 程 度 的 攻 击 可 能 和 漏 洞 。 种 不 同 品 牌 型 号 的 打 印 机 进 行 测 试 后 发 现 ， 每 一 种 品 牌 的 打 印 机 都 存 在 不 同 程 度 的 攻 击 可 能 和 漏 洞 。 基 于 分 析 ， 我 们 还 给 出 了 测 试 过 程 中 使 用 的 打 印 机 入 侵 利 用 工 具 - P R i n t e r   E x p l o i t a t i o n   T o o l k i t   ( P R E T ) 。 主 要 研 究 成 果 可 以 在 J e n s M ü l l e r 发 表 的 P P T 和 我 们 发 布 的 公 开 报 告 中 找 到 。 另 外 ， 为 了 加 强 打 印 机 安 全 的 研 究 交 流 ， 我 们 还 设 立 了 一 个 w i k i 页 面 h t t p : / / h a c k i n g - p r i n t e r s . n e t / ， 其 它 更 多 精 彩 的 分 享 ， 请 关 注 J e n s M ü l l e r 即 将 在 5 月 份 R u h r S e c 安 全 会 议 上 的 演 讲 《 H o w   t o   H a c k   Y o u r   P r i n t e r 》 。 研 究 背 景 研 究 背 景 研 究 背 景 研 究 背 景 打 印 语 言 是 控 制 打 印 机 工 作 的 一 个 命 令 集 ， 它 告 诉 打 印 机 如 何 组 织 被 打 印 的 文 档 ， 在 打 印 机 语 言 的 控 制 下 ， 从 计 算 机 传 来 的 打 印 数 据 被 转 化 成 可 供 打 印 的 文 字 和 图 像 ， 最 终 被 打 印 机 识 别 并 输 出 出 来 。 打 印 语 言 决 定 着 激 光 打 印 机 输 出 版 面 的 复 杂 程 度 ， 是 衡 量 激 光 打 印 机 性 能 的 一 个 重 要 指 标 。 一 个 高 效 的 控 制 语 言 可 减 少 文 件 的 大 小 和 下 载 的 时 间 ， 提 高 将 普 通 文 本 格 式 化 成 打 印 文 本 的 速 度 ， 目 前 主 要 打 印 控 制 语 言 有 ： P S （ P o s t S c r i p t ） 、 P C L 和 G D I （ 图 形 设 备 接 口 语 言 ） ； 但 总 体 来 说 可 以 分 成 两 类 ， 一 类 是 页 描 述 语 言 ( P D L ， P a g e   D e s c r i p t i o n a l L a n g u a g e ) ， 另 一 类 是 嵌 入 式 语 言 ( 如 E S C a p e   C o d e   L a n g u a g e ) ， P C L 和   P o s t S c r i p t 都 属 于 P D L 。 （ 更 多 了 解 请 参 考 此 文 档 ） 。 针 对 打 印 机 ， 有 多 种 协 议 命 令 和 打 印 语 言 可 以 实 现 打 印 机 设 备 和 打 印 任 务 的 控 制 ， 其 中 大 多 数 都 可 能 是 我 们 平 时 都 没 怎 么 听 过 的 。 相 关 协 议 和 语 言 如 下 图 所 示 ：
设 备 控 制 设 备 控 制 这 个 命 令 集 语 言 用 于 打 印 机 设 备 控 制 ， 使 用 它 们 还 可 以 检 索 设 备 名 称 和 状 态 ， 该 集 合 语 言 主 要 为 简 单 网 络 管 理 协 议 S N M P ， S N M P 是 基 于 U D P ， 用 来 管 理 诸 如 打 印 机 、 路 由 器 、 服 务 器 等 各 种 网 络 设 备 的 基 本 网 络 通 信 协 议 。 打 印 通 道 打 印 通 道 打 印 设 备 通 常 支 持 的 协 议 有 ： 互 联 网 打 印 协 议 （ I P P ） 、 行 式 打 印 后 台 程 序 （ L P D ) 、 S M B 协 议 和 9 1 0 0 原 始 端 口 打 印 协 议 。 这 些 协 议 都 各 有 特 点 ， 如 打 印 作 业 队 列 管 理 或 报 告 等 。 在 测 试 分 析 过 程 中 ， 我 们 正 是 利 用 了 这 些 打 印 支 持 协 议 ， 向 打 印 机 进 行 恶 意 文 档 传 播 的 。 互 联 网 打 印 协 议 ( I P P ； I n t e r n e t   P r i n t i n g   P r o t o c o l ) 是 一 个 在 互 联 网 上 打 印 的 标 准 网 络 协 议 ， 它 容 许 用 户 可 以 透 过 互 联 网 作 遥 距 打 印 及 管 理 打 印 工 作 等 工 作 。 用 户 可 以 透 过 相 关 界 面 来 控 制 打 印 品 所 使 用 的 纸 张 种 类 、 分 辨 率 等 各 种 参 数 。 作 业 控 制 语 言 作 业 控 制 语 言 该 命 令 集 语 言 一 般 用 于 管 理 置 纸 托 盘 和 纸 张 数 量 等 打 印 机 设 置 状 态 ， 其 中 比 较 标 准 的 作 业 控 制 语 言 则 是 P J L ， 与 P C L 不 同 的 是 ， P J L 提 供 了 不 同 类 别 的 任 务 级 别 的 控 制 。 从 安 全 角 度 来 说 ， P J L 更 适 用 ， 因 为 它 不 仅 能 应 用 于 当 前 任 务 ， 还 能 作 出 一 些 永 久 性 设 置 ， 如 打 印 显 示 或 读 写 状 态 等 。 P J L   ， P r i n t e r   J o b   L a n g u a g e 的 简 写 ， 它 提 供 了 不 同 类 别 的 打 印 控 制 。 与 P C L 不 同 的 是 ， P J L 提 供 任 务 级 别 的 控 制 ， 而 P C L 和 H P - G L / 2 只 控 制 打 印 页 面 上 的 打 印 点 的 位 置 。 页 面 描 述 语 言 （ 页 面 描 述 语 言 （ P D L ） ） P S （ P o s t S c r i p t ） 语 言 是 一 种 标 准 的 P D L 语 言 。 虽 然 P o s t S c r i p t 已 经 不 在 台 式 印 刷 系 统 中 流 行 ， 但 仍 然 是 激 光 印 刷 打 印 系 统 的 P D L 语 言 首 选 。 P o s t S c r i p t 是 基 于 堆 栈 的 图 灵 完 备 编 程 语 言 ， 它 包 含 4 0 0 多 种 指 令 和 操 作 符 ， 从 安 全 视 角 来 说 ， 这 些 指 令 和 操 作 符 可 以 被 攻 击
利 用 ， 入 侵 控 制 了 P o s t S c r i p t 解 释 器 就 能 实 现 代 码 执 行 等 恶 意 操 作 。 页 面 描 述 语 言 ， 是 一 种 面 向 输 出 效 应 的 语 言 ， 用 于 描 述 打 印 或 照 排 的 版 面 ， 这 种 语 言 不 仅 具 有 版 面 描 述 功 能 ， 还 具 有 计 算 机 设 计 的 特 点 ， 即 可 处 理 文 字 ， 又 可 处 理 图 象 ， 各 种 软 件 在 排 版 和 图 形 处 理 之 后 形 成 P D L 形 式 ， 就 可 汇 总 在 一 页 上 输 出 。 攻 击 测 试 攻 击 测 试 攻 击 测 试 攻 击 测 试 从 网 络 攻 击 角 度 来 说 ， 打 印 机 算 是 一 个 重 要 且 有 价 值 的 攻 击 目 标 ， 但 打 印 机 的 安 全 和 威 胁 技 术 研 究 却 非 常 之 少 。 所 以 ， 我 们 的 首 要 任 务 是 ， 根 据 目 前 C V E 漏 洞 库 和 安 全 博 客 中 公 布 的 ， 有 关 打 印 机 漏 洞 和 安 全 技 术 进 行 综 合 分 析 ， 通 过 对 现 存 已 知 漏 洞 问 题 的 归 纳 总 结 ， 构 建 新 型 或 通 用 攻 击 模 型 ， 测 试 不 同 品 牌 型 号 打 印 机 存 在 的 漏 洞 和 安 全 性 。 我 们 认 为 ， 最 好 的 攻 击 目 标 是 那 些 使 用 P o s t S c r i p t 和 P J L 解 释 器 进 行 打 印 作 业 处 理 的 打 印 机 ， 因 为 远 程 攻 击 者 可 以 不 依 赖 于 设 备 支 持 的 打 印 通 道 ， 仅 只 需 要 利 用 单 独 的 ' 文 档 打 印 ' 功 能 就 能 对 其 进 行 入 侵 攻 击 。 在 我 们 的 分 析 中 ， 总 体 上 把 打 印 机 攻 击 分 为 四 类 ： D o S 攻 击 攻 击 只 要 执 行 以 下 两 行 P o s t S c r i p t 代 码 ， 就 可 实 现 对 打 印 机 的 D o S 攻 击 ， 让 打 印 机 陷 入 一 个 无 限 l o o p 任 务 循 环 ： % ! { }   l o o p 其 它 此 类 攻 击 ： 使 打 印 机 进 入 离 线 脱 机 模 式 使 打 印 机 进 入 离 线 脱 机 模 式 ： 利 用 P J L 语 言 的 操 作 控 制 命 令 让 打 印 机 显 示 其 它 特 定 消 息 或 进 入 离 线 状 态 模 式 ； 物 理 破 坏 物 理 破 坏 ： 通 过 对 P J L 常 变 量 的 持 续 设 置 和 更 改 ， 可 能 会 对 打 印 机 具 有 读 写 周 期 的 N V R A M （ 非 易 失 性 随 机 访 问 存 储 ， 打 印 机 主 要 存 储 ） 造 成 破 坏 ； 重 定 义 打 印 显 示 信 息 重 定 义 打 印 显 示 信 息 ： P o s t S c r i p t 的 ' s h o w p a g e ' 命 令 用 来 对 打 印 文 档 的 每 一 页 显 示 信 息 进 行 设 置 ， 可 在 不 影 响 打 印 内 容 的 顶 部 或 底 部 加 入 自 定 义 标 题 文 字 。 因 此 ， 攻 击 者 可 以 通 过 该 命 令 任 意 定 义 其 它 打 印 显 示 信 息 。 安 全 设 置 绕 过 安 全 设 置 绕 过 为 了 绕 过 打 印 机 现 有 的 安 全 设 置 ， 最 简 单 的 方 法 就 是 把 打 印 机 重 置 到 出 厂 状 态 。 由 于 大 多 数 打 印 机 都 可 以 通 过 某 些 按 键 组 合 进 行 出 厂 状 态 硬 复 位 ， 所 以 对 入 侵 了 打 印 机 的 攻 击 者 来 说 ， 这 种 操 作 也 比 较 容 易 实 现 。 而 且 ， 如 果 打 印 机 支 持 R F C 1 7 5 9 标 准 ( P r i n t e r   M I B ) ， 攻 击 者 可 以 远 程 利 用 S N M P 命 令 来 实 现 对 目 标 打 印 机 的 出 厂 状 态 重 置 ： #   s n m p s e t   - v 1   - c   p u b l i c   [ p r i n t e r ]   1 . 3 . 6 . 1 . 2 . 1 . 4 3 . 5 . 1 . 1 . 3 . 1   i   6 其 它 特 殊 机 型 都 提 供 了 类 似 功 能 命 令 语 言 ， 如 H P 的 P M L ,   K y o c e r a 的 P R E S C R I B E 等 。 此 外 ， 我 们 的 研 究 表 明 ， 很 多 流 行 的 C U P S 和 L P R n g 打 印 机 都 存 在 技 术 绕 过 ， 实 现 出 厂 状 态 重 置 的 可 能 。
C U P S ( C o m m o n   U N I X   P r i n t i n g   S y s t e m ， 集 成 在 大 多 打 印 机 内 的 通 用 U n i x 打 印 系 统 。 L P R n g （ L P R   N e x t   G e n e r a t i o n ） ， 下 一 代 行 式 打 印 系 统 。 打 印 任 务 控 制 打 印 任 务 控 制 由 于 一 些 P D L 语 言 允 许 修 改 ， 所 以 可 能 导 致 攻 击 者 的 一 些 恶 作 剧 攻 击 ， 如 控 制 用 户 打 印 任 务 、 在 打 印 文 档 上 打 印 出 任 意 图 案 文 字 、 自 定 义 任 意 ' s h o w p a g e ’ 状 态 信 息 等 。 打 印 机 信 息 泄 露 打 印 机 信 息 泄 露 9 1 0 0 端 口 打 印 支 持 双 向 通 道 ， 因 此 可 导 致 某 些 敏 感 信 息 泄 露 ， 例 如 B r o t h e r （ 兄 弟 ） 打 印 机 可 以 通 过 以 下 P J L 命 令 向 N V R A M 执 行 读 写 操 作 ： @ P J L   R N V R A M   A D D R E S S   =   X 在 我 们 的 实 际 测 试 中 ， 可 以 利 用 该 命 令 读 取 打 印 机 的 整 个 N V R A M 内 存 数 据 ， 其 中 就 包 含 了 一 些 敏 感 信 息 ， 如 打 印 机 密 码 、 用 户 自 定 义 打 印 机 支 持 协 议 P O P 3 / S M T P 密 码 、 F T P 密 码 和 活 动 目 录 信 息 等 。 攻 击 者 可 以 利 用 这 些 信 息 进 行 内 网 提 权 ， 或 把 打 印 机 作 为 内 网 渗 透 摆 渡 设 备 。 其 它 此 类 攻 击 ： 文 件 系 统 入 侵 文 件 系 统 入 侵 ： P o s t S c r i p t 和 P J L 命 令 都 具 有 对 打 印 机 文 件 系 统 的 访 问 功 能 ， 然 而 某 些 品 牌 打 印 机 却 未 对 一 些 特 殊 目 录 设 置 访 问 限 制 ， 可 以 导 致 如 密 码 等 其 它 敏 感 信 息 泄 露 。 打 印 任 务 获 取 打 印 任 务 获 取 ： 只 要 打 印 机 使 用 P o s t S c r i p t 命 令 ， 攻 击 者 就 可 以 通 过 其 获 取 到 打 印 任 务 。 主 要 因 为 P o s t S c r i p t 的 两 个 特 性 ： 一 是 攻 击 者 可 通 过 自 定 义 的 操 作 符 ' h o o k ' 到 其 它 打 印 用 户 的 打 印 任 务 ； 二 是 P o s t S c r i p t 可 以 读 取 数 据 并 进 行 简 单 的 文 档 信 息 存 储 。 密 码 泄 露 密 码 泄 露 ： 攻 击 者 可 以 对 1 - 6 5 5 3 5 范 围 内 的 P J L 密 钥 数 字 进 行 暴 力 破 解 ， 轻 易 获 取 到 P J L 密 码 ； 同 样 ， 如 果 利 用 每 秒 高 达 1 0 0 0 0 0 次 的 密 码 验 证 就 可 破 解 P o s t S c r i p t 密 码 。 打 印 机 入 侵 利 用 工 具 打 印 机 入 侵 利 用 工 具 - P R E T 打 印 机 入 侵 利 用 工 具 打 印 机 入 侵 利 用 工 具 - P R E T 为 了 让 以 上 攻 击 实 现 自 动 化 ， 我 们 发 布 了 一 个 自 动 化 概 念 验 证 攻 击 工 具 ： P R E T ， 通 过 该 工 具 可 以 简 化 终 端 攻 击 者 与 目 标 打 印 机 之 间 的 通 信 交 流 。 因 此 ， 当 遇 到 一 些 U N I X 打 印 系 统 命 令 时 ， P R E T 会 把 它 转 换 成 P o s t S c r i p t 或 P J L 语 言 ， 发 送 给 目 标 打 印 机 ， 并 对 反 馈 结 果 进 行 安 全 评 估 。 例 如 ， P R E T 会 把 U N I X 命 令 “ l s " 转 换 成 以 下 P J L 请 求 ： @ P J L   F S D I R L I S T   N A M E = ” 0 : ”   E N T R Y = 1   C O U N T = 6 5 5 3 5 之 后 ， 它 会 收 集 打 印 机 输 出 信 息 并 把 它 转 换 成 简 单 明 了 的 显 示 信 息 。
P R E T 使 用 以 下 命 令 对 打 印 机 文 件 系 统 进 行 攻 击 测 试 ： 安 全 评 估 安 全 评 估 安 全 评 估 安 全 评 估 我 们 想 对 打 印 机 安 全 开 展 一 个 全 面 深 入 的 安 全 评 估 ， 所 以 选 择 了 大 约 2 0 多 种 常 用 流 行 的 品 牌 打 印 机 作 为 测 试 对 象 。 为 了 节 省 资 金 ， 我 们 还 从 各 大 高 校 机 构 公 开 收 集 了 一 些 打 印 机 作 为 研 究 ， 目 前 ， 在 排 名 前 十 的 打 印 机 品 牌 中 ， 我 们 至 少 有 一 种 型 号 的 测 试 机 型 。
这 些 打 印 机 并 不 都 是 全 新 的 ， 其 中 有 三 台 打 印 机 还 存 在 功 能 缺 失 导 致 不 能 执 行 测 试 攻 击 ， 但 所 有 这 些 打 印 设 备 构 成 了 当 前 办 公 环 境 中 的 典 型 环 境 。 在 执 行 测 试 攻 击 之 前 ， 我 们 为 每 台 设 备 进 行 了 全 新 的 固 件 更 新 。 测 试 结 果 表 明 ， 每 种 打 印 设 备 都 存 在 多 种 可 攻 击 可 能 。 例 如 ， 利 用 包 含 循 环 代 码 的 恶 意 P o s t S c r i p t 文 件 ， 可 以 针 对 每 种 品 牌 打 印 机 执 行 D o S 攻 击 。 在 攻 击 中 ， 只 有 H P   L a s e r J e t   M 2 7 2 7 n f 运 行 有 看 守 程 序 ， 在 测 试 之 后 会 引 起 设 备 故 障 ， 关 机 1 0 分 钟 之 后 才 能 恢 复 正 常 ； 而 被 测 打 印 机 经 2 4 小 时 的 N V R A M 内 存 读 写 操 作 压 力 测 试 之 后 ， 则 会 导 致 物 理 内 存 损 坏 ； 大 多 数 打 印 机 都 可 执 行 打 印 任 务 控 制 或 获 取 的 攻 击 。 攻 击 者 甚 至 会 利 用 打 印 机 的 P o s t S c r i p t 、 P J L 和 P M L 命 令 ， 对 打 印 机 发 起 跨 站 打 印 （ c r o s s - s i t e   p r i n t i n g ） 攻 击 ， 在 这 种 攻 击 的 基 础 上 ， 我 们 发 现 了 另 一 种 新 的 攻 击 方 法 ： 跨 源 资 源 共 享 欺 骗 攻 击 （ c r o s s - o r i g i n   r e s o u r c e   s h a r i n g ， ， C O R S   S p o o f i n g ） 。 C O R S   S p o o f i n g 攻 击 可 以 通 过 浏 览 器 获 取 到 打 印 设 备 的 相 关 打 印 任 务 信 息 。 该 网 站 的 概 念 性 攻 击 代 码 可 以 对 大 多 数 公 司 和 机 构 的 打 印 机 实 行 攻 击 测 试 ： h t t p : / / h a c k i n g - p r i n t e r s . n e t / x s p / 在 后 续 的 文 章 中 ， 我 们 将 会 对 各 种 打 印 机 攻 击 方 法 作 出 具 体 描 述 ， 并 对 打 印 机 入 侵 利 用 工 具 P R E T 作 出 简 要 介 绍 。
* 参 考 来 源 ： w e b - i n - s e c u r i t y ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理